CN101119194B - 一种对数字内容及授权进行加密和解密的方法 - Google Patents

Abstract

本发明公开了一种对数字内容及授权进行加密和解密的方法，包括：终端代理生成公钥PK和私钥SK，授权服务器生成明文数字内容、DK、RO和CEK；授权服务器采用CEK加密明文数字内容得到密文数字内容，采用PEK加密明文CEK得到密文CEK，采用DK加密明文RO得到密文RO，采用PK加密明文DK得到密文DK，将密文数字内容、密文CEK、密文RO和密文DK下发给终端；终端代理采用SK解密密文DK得到明文DK，采用明文DK解密密文RO得到明文RO，采用明文RO中的明文PEK解密密文CEK得到明文CEK，采用明文CEK解密密文数字内容得到明文数字内容。本发明实现了对DRM系统数字内容及授权的版权保护。

Description

一种对数字内容及授权进行加密和解密的方法

技术领域

本发明涉及数字媒体版权保护技术领域，尤其涉及一种对数字内容及授权进行加密和解密的方法。

背景技术

随着信息社会的不断发展，数字媒体变得极其丰富，数字媒体的版权保护问题也越来越受到关注。

在数字版权管理(Digital Rights Management，DRM)系统中，对数字内容和授权的加密是一个关键的问题，需要利用一套完善的密钥体系对数字内容和授权进行加密，限制终端用户使用受保护的数字内容，实现数字版权保护的目的。

为了解决上述问题，结合当前的技术发展情况，本发明提出了一种用于DRM系统的多层密钥体系，并基于该多层密钥体系提供了一种对数字内容及授权进行加密和解密的方法，有效的满足了DRM系统对数字内容和授权安全加密的需求。

发明内容

(一)要解决的技术问题

有鉴于此，本发明的主要目的在于提供一种对数字内容及授权进行加密和解密的方法，以满足DRM系统对数字内容和授权安全加密的需求，实现对DRM系统数字内容及授权的版权保护。

(二)技术方案

为达到上述目的，本发明提供了一种对数字内容及授权进行加密和解密的方法，该方法包括：

终端代理生成公钥PK和私钥SK，授权服务器生成明文数字内容、明文分发密钥DK、明文权利对象RO和明文内容加密密钥CEK，明文RO中包括明文产品密钥PEK；

授权服务器采用明文CEK加密明文数字内容得到密文数字内容，采用明文PEK加密明文CEK得到密文CEK，采用DK加密明文RO得到密文RO，采用公钥PK加密明文DK得到密文DK，并将密文数字内容、密文CEK、密文RO和密文DK下发给终端；

终端代理采用私钥SK解密密文DK得到明文DK，采用明文DK解密密文RO得到明文RO，采用明文RO中的明文PEK解密密文CEK得到明文CEK，采用明文CEK解密密文数字内容得到明文数字内容；

其中，所述授权服务器生成明文DK和明文RO，以及对明文DK和明文RO进行加密的步骤包括：

终端需要观看数字内容但没有得到该数字内容的许可信息时，通过终端代理生成许可申请信息，并将许可申请信息发送给授权服务器；

授权服务器接收并验证终端代理的许可申请信息，通过验证后，授权服务器生成随机的明文DK；

授权服务器利用终端代理的证书公钥PK对明文DK进行加密处理，得到密文DK；

授权服务器生成明文RO，采用明文DK对明文RO进行加密处理，得到密文RO。

上述方案中，所述终端代理生成公钥PK和私钥SK的步骤包括：

终端代理在本地按照一定策略和要求生成一个非对称的公私密钥对，包括公钥PK和私钥SK；

终端代理生成注册请求信息，并将生成的注册请求信息发送给授权服务器；

授权服务器对注册请求信息中的用户身份识别信息进行验证，通过验证后签发用户的公钥证书。

上述方案中，所述注册请求信息包括证书公钥PK和用户身份识别信息。

上述方案中，所述授权服务器得到密文数字内容和密文CEK后，进一步将密文CEK嵌入到密文数字内容中，与密文数字内容一起下发给终端。

上述方案中，所述授权服务器得到密文DK和密文RO后，进一步将密文DK和密文RO一起下发给终端。

上述方案中，所述许可申请信息包括用户标识、节目标识、所申请的许可和辅助信息。

上述方案中，所述终端代理采用明文DK解密密文RO得到明文RO后，进一步包括：终端代理在需要使用明文数字内容时，验证RO中包含的许可规则，在验证通过后，终端代理接收嵌入到密文数字内容中的密文CEK，采用数字内容对应的PEK对密文CEK进行解密。

上述方案中，所述终端代理为用户端的一部分，每个终端用户对应一个终端代理；

所述终端代理为如下形式之一：以软件模块的形式嵌入到操作系统、集成于专用卡MMC卡和SIM卡、采用专用的集成电路芯片。

上述方案中，所述明文DK是用户首次申请许可时与授权服务器协商的分发密钥，具有一定的有效期，失效之后需要与授权服务器重新协商；

所述明文PEK与数字内容相对应，是按照一定策略随机生成的，并且不发生变化；

所述明文CEK是按照一定策略随机生成的，并且随着时间的变化而变化。

(三)有益效果

从上述技术方案可以看出，本发明具有以下有益效果：

本发明提供的这种对数字内容及授权进行加密和解密的方法，通过采用多层密钥体系对数字内容及授权进行加密和解密，有效地保证了数字内容及授权的安全使用，最大限度的限制了终端用户使用受保护的数字内容，满足了DRM系统对数字内容和授权安全加密的需求，实现了对DRM系统数字内容及授权的版权保护。

附图说明

图1为本发明提供的多层密钥体系的结构示意图；

图2为本发明提供的对数字内容及授权进行加密和解密的方法流程图；

图3为依照本发明实施例对数字内容及授权进行加密和解密的方法流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明进一步详细说明。

如图1所示，图1为本发明提供的多层密钥体系的结构示意图，该多层密钥体系包括注册层、授权管理层、内容密钥层和内容加密层四个结构层。

其中，在注册层，终端代理生成公私密钥对，并向授权服务器提出注册请求，授权服务器签发用户公钥证书。

在终端代理生成公私密钥对时，终端代理在本地按照一定策略和要求生成一个非对称的公私密钥对，包括公钥(Public Key，PK)和私钥(SecretKey，SK)。然后，终端代理生成注册请求信息，注册请求信息包括证书公钥PK和用户身份识别信息。终端代理向给授权服务器发送注册请求信息，授权服务器对注册请求信息中的用户身份识别信息进行验证，验证通过后签发该用户的公钥证书。

在授权管理层，终端代理生成许可申请信息，并向授权服务器提出许可申请，授权服务器生成并返回权利对象(Right Object，RO)，终端代理解密权利对象。

在用户需要观看数字内容但没有得到该数字内容的许可信息时，通过终端代理生成许可申请信息，许可申请信息包括用户标识、节目标识、所申请的许可、以及其他辅助信息。终端代理将许可申请信息发送给授权服务器，授权服务器接收并验证终端代理的许可申请信息，验证通过后，授权服务器生成随机的分发密钥(Distribution Key，DK)。授权服务器利用终端代理的证书公钥PK对DK进行加密处理得到密文DK，授权服务器生成RO，RO包括用户申请数字内容所对应的产品密钥(Product EncryptionKey，PEK)。授权服务器利用DK对RO进行加密处理得到密文RO，授权服务器将密文DK和密文RO一起下发给终端用户；终端代理接收到密文DK和密文RO后，利用证书私钥SK解密密文DK，得到明文DK，然后利用DK解密密文RO，得到明文RO，获得PEK。

在内容密钥层，授权服务器生成密文内容加密密钥(ContentEncryption Key，CEK)信息，将密文CEK嵌入到密文数字内容中并下发给终端用户，终端代理接收并解密密文CEK，得到明文CEK。授权服务器利用PEK加密CEK和其他相关信息，得到密文CEK。授权服务器将密文CEK嵌入到密文数字内容中，与密文数字内容一起下发给终端用户；终端代理接收嵌入到密文数字内容中的密文CEK，利用数字内容对应的PEK解密密文CEK，得到明文CEK。

在内容加密层，授权服务器生成密文数字内容，将密文数字内容发送到终端用户，终端代理解密密文数字内容，得到明文数字内容。授权服务器利用CEK对明文数字内容进行加密，得到密文数字内容。授权服务器将密文数字内容发送到终端用户。用户需要使用该数字内容时，终端代理验证RO中包含的许可规则，验证通过后，利用明文CEK解密密文数字内容，得到明文数字内容。

上述授权管理层的DK，是用户首次申请许可时与授权服务器协商的分发密钥，具有一定的有效期，失效之后需要与授权服务器重新协商。用户申请许可时，如果DK处于有效期，则可以继续使用，否则用户需要与授权服务器协商新的DK。

上述授权管理层所述PEK，是与数字内容对应的，是按照一定策略随机生成的，一般是固定的，不会发生变化。

上述内容密钥层所述CEK，是按照一定策略随机生成的，并且随着时间的变化而变化。

基于上述图1所示的多层密钥体系，图2示出了本发明提供的对数字内容及授权进行加密和解密的方法流程图，该方法包括以下步骤：

步骤201：终端代理生成公钥(PK)和私钥(SK)，授权服务器生成明文数字内容、明文分发密钥(DK)、明文权利对象(RO)和明文内容加密密钥(CEK)，明文RO中包括明文产品密钥(PEK)；

步骤202：授权服务器采用明文CEK加密明文数字内容得到密文数字内容，采用明文PEK加密明文CEK得到密文CEK，采用DK加密明文RO得到密文RO，采用公钥PK加密明文DK得到密文DK，并将密文数字内容、密文CEK、密文RO和密文DK下发给终端；

步骤203：终端代理采用私钥SK解密密文DK得到明文DK，采用明文DK解密密文RO得到明文RO，采用明文RO中的明文PEK解密密文CEK得到明文CEK，采用明文CEK解密密文数字内容得到明文数字内容。

上述终端代理生成公钥PK和私钥SK的步骤包括：

步骤a1：终端代理在本地按照一定策略和要求生成一个非对称的公私密钥对，包括公钥PK和私钥SK；

步骤a2：终端代理生成注册请求信息，并将生成的注册请求信息发送给授权服务器；所述注册请求信息包括证书公钥PK和用户身份识别信息；

步骤a3：授权服务器对注册请求信息中的用户身份识别信息进行验证，通过验证后签发该用户的公钥证书。

上述授权服务器得到密文数字内容和密文CEK后，进一步将密文CEK嵌入到密文数字内容中，与密文数字内容一起下发给终端。

上述授权服务器生成明文DK和明文RO，以及对明文DK和明文RO进行加密的步骤包括：

步骤b1：终端需要观看数字内容但没有得到该数字内容的许可信息时，通过终端代理生成许可申请信息，并将许可申请信息发送给授权服务器；所述许可申请信息包括用户标识、节目标识、所申请的许可和辅助信息；

步骤b2：授权服务器接收并验证终端代理的许可申请信息，通过验证后，授权服务器生成随机的明文DK；

步骤b3：授权服务器利用终端代理的证书公钥PK对明文DK进行加密处理，得到密文DK；

步骤b4：授权服务器生成明文RO，采用明文DK对明文RO进行加密处理，得到密文RO。

上述步骤b3和步骤b4授权服务器得到密文DK和密文RO后，进一步将密文DK和密文RO一起下发给终端。

上述终端代理采用明文DK解密密文RO得到明文RO后，进一步包括：终端代理在需要使用明文数字内容时，验证RO中包含的许可规则，在验证通过后，终端代理接收嵌入到密文数字内容中的密文CEK，采用数字内容对应的PEK对密文CEK进行解密。

上述终端代理为用户端的一部分，每个终端用户对应一个终端代理；所述终端代理包括但不局限于如下形式：以软件模块的形式嵌入到操作系统、集成于专用卡MMC卡和SIM卡、采用专用的集成电路芯片。

基于图2所述的对数字内容及授权进行加密和解密的方法流程图，以下结合具体的实施例对本发明提供的对数字内容及授权进行加密和解密的方法进一步详细说明。

如图3所示，图3为依照本发明实施例对数字内容及授权进行加密和解密的方法流程图，该方法包括以下步骤：

步骤301：终端代理生成公私密钥对，向授权服务器提出注册请求，授权服务器签发用户公钥证书。具体包含以下步骤：

A1、终端代理在本地按照一定策略和要求生成一个非对称的公私密钥对，包括公钥PK和私钥SK；

A2、终端代理生成注册请求信息，注册请求信息包括证书公钥PK和用户身份识别信息；

A3、终端代理向给授权服务器发送注册请求信息；

A4、授权服务器对注册请求信息中的用户身份识别信息进行验证，通过验证后签发该用户的公钥证书。

步骤302：授权服务器生成密文数字内容和密文CEK，将密文CEK嵌入到密文数字内容中，并下发到终端用户。具体包括以下步骤：

B1、授权服务器利用CEK对明文数字内容进行加密，得到密文数字内容；

B2、授权服务器利用PEK加密CEK和其他相关信息，得到密文CEK；

B3、授权服务器将密文CEK嵌入到密文数字内容中，与密文数字内容一起发送到终端用户。

步骤303：终端代理生成许可申请信息，向授权服务器提出许可申请，授权服务器生成并返回RO，终端代理解密RO。具体包括以下步骤：

C1、用户需要观看数字内容但是没有得到该数字内容的许可信息时，通过终端代理生成许可申请信息，许可申请信息包括用户标识、节目标识、所申请的许可、以及其他辅助信息；

C2、终端代理将许可申请信息发送给授权服务器；

C3、授权服务器接收并验证终端代理的许可申请信息，通过验证后，授权服务器生成随机的分发密钥(Distribution Key，简称DK)；

C4、授权服务器利用终端代理的证书公钥PK对DK进行加密处理，得到密文DK；

C5、授权服务器生成RO，RO包括用户申请数字内容所对应的产品密钥(Product Encryption Key，简称PEK)；

C6、授权服务器利用DK对RO进行加密处理，得到密文RO；

C7、授权服务器将密文DK和密文RO一起发送给终端用户；

C8、终端代理接收到密文DK和密文RO后，利用证书私钥SK解密密文DK，得到明文DK，然后利用DK解密密文RO，得到明文RO，获得PEK。

步骤304：终端代理解密密文数字内容，获得明文数字内容。具体包括以下步骤：

D1、用户需要使用该数字内容时，终端代理验证RO中包含的许可规则；

D2、通过验证后，终端代理接收嵌入到密文数字内容中的密文CEK，利用数字内容对应的PEK解密密文CEK，得到明文CEK；

D3、终端代理利用明文CEK解密密文数字内容，得到明文数字内容。

本发明提供的这种对数字内容及授权进行加密和解密的方法，不仅适用于DRM系统，也适用于其他加密系统、安全保护等系统。用于上述加密或安全保护系统的与本发明类似的，或在本发明基础上本领域普通技术人员能够不必付出创造性劳动而得到的密钥体系结构或加密方法，均应包含在本发明的保护范围之内。

本发明提供的这种对数字内容及授权进行加密和解密的方法，其他与本发明类似的、在本发明基础上进行修改的、删减的、增加的密钥体系结构或加密方法，如果使用了本发明提出的思想，均应包含在本发明的保护范围之内。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种对数字内容及授权进行加密和解密的方法，其特征在于，该方法包括：

终端代理生成公钥PK和私钥SK，授权服务器生成明文数字内容、明文分发密钥DK、明文权利对象RO和明文内容加密密钥CEK，明文RO中包括明文产品密钥PEK；

授权服务器采用明文CEK加密明文数字内容得到密文数字内容，采用明文PEK加密明文CEK得到密文CEK，采用DK加密明文RO得到密文RO，采用公钥PK加密明文DK得到密文DK，并将密文数字内容、密文CEK、密文RO和密文DK下发给终端；

终端代理采用私钥SK解密密文DK得到明文DK，采用明文DK解密密文RO得到明文RO，采用明文RO中的明文PEK解密密文CEK得到明文CEK，采用明文CEK解密密文数字内容得到明文数字内容；

其中，所述授权服务器生成明文DK和明文RO，以及对明文DK和明文RO进行加密的步骤包括：

终端需要观看数字内容但没有得到该数字内容的许可信息时，通过终端代理生成许可申请信息，并将许可申请信息发送给授权服务器；

授权服务器接收并验证终端代理的许可申请信息，通过验证后，授权服务器生成随机的明文DK；

授权服务器利用终端代理的证书公钥PK对明文DK进行加密处理，得到密文DK；

授权服务器生成明文RO，采用明文DK对明文RO进行加密处理，得到密文RO。

2.根据权利要求1所述的对数字内容及授权进行加密和解密的方法，其特征在于，所述终端代理生成公钥PK和私钥SK的步骤包括：

终端代理在本地按照一定策略和要求生成一个非对称的公私密钥对，包括公钥PK和私钥SK；

终端代理生成注册请求信息，并将生成的注册请求信息发送给授权服务器；

授权服务器对注册请求信息中的用户身份识别信息进行验证，通过验证后签发用户的公钥证书。

3.根据权利要求2所述的对数字内容及授权进行加密和解密的方法，其特征在于，所述注册请求信息包括证书公钥PK和用户身份识别信息。

4.根据权利要求1所述的对数字内容及授权进行加密和解密的方法，其特征在于，所述授权服务器得到密文数字内容和密文CEK后，进一步将密文CEK嵌入到密文数字内容中，与密文数字内容一起下发给终端。

5.根据权利要求1所述的对数字内容及授权进行加密和解密的方法，其特征在于，所述授权服务器得到密文DK和密文RO后，进一步将密文DK和密文RO一起下发给终端。

6.根据权利要求1所述的对数字内容及授权进行加密和解密的方法，其特征在于，所述许可申请信息包括用户标识、节目标识、所申请的许可和辅助信息。

7.根据权利要求1所述的对数字内容及授权进行加密和解密的方法，其特征在于，所述终端代理采用明文DK解密密文RO得到明文RO后，进一步包括：

终端代理在需要使用明文数字内容时，验证RO中包含的许可规则，在验证通过后，终端代理接收嵌入到密文数字内容中的密文CEK，采用数字内容对应的PEK对密文CEK进行解密。

8.根据权利要求1所述的对数字内容及授权进行加密和解密的方法，其特征在于，所述终端代理为用户端的一部分，每个终端用户对应一个终端代理；所述终端代理为如下形式之一：以软件模块的形式嵌入到操作系统、集成于专用卡MMC卡和SIM卡、采用专用的集成电路芯片。

9.根据权利要求1所述的对数字内容及授权进行加密和解密的方法，其特征在于，

所述明文DK是用户首次申请许可时与授权服务器协商的分发密钥，具有一定的有效期，失效之后需要与授权服务器重新协商；

所述明文PEK与数字内容相对应，是按照一定策略随机生成的，并且不发生变化；

所述明文CEK是按照一定策略随机生成的，并且随着时间的变化而变化。

Images